Guia De Proteccion De Datos Para Los Centros De Ense�anza

Citation preview

CONSEJERÍA DE EDUCACIÓN

*8Ì$'(3527(&&,Ð1'('$726 '(&$5É&7(53(5621$/ 3$5$/26 &(17526'((16(f$1=$

GUÍA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL PARA LOS CENTROS DE ENSEÑANZA

(LEY ORGÁNICA 15/1999, DE 13 DE DICIEMBRE, Y REAL DECRETO 1720/2007, DE 21 DE DICIEMBRE)

CONSEJERÍA DE EDUCACIÓN

Isidro Gómez-Juárez Sidera. Experto en Protección de Datos de Carácter Personal. DEA en Derecho de las Nuevas Tecnologías de la Información y las Comunicaciones. Secretaría General Técnica de la Consejería de Educación Francisco Silveira García. Jefe de Sistemas de Información. Elías Fernández Martín. Servicio de Sistemas de Información. Servicio de Legislación, Recursos y Relaciones con la Administración de Justicia de la Consejería de Educación. Revisión: Agenda Activa Edita: Junta de Andalucía Consejería de Educación Secretaría General Técnica ISBN: 978-84-690-6607-2 Depósito Legal: SE-3341-2011 1ª Edición: Octubre 2011 Diseño: RRM Impresión: Coria Gráfica, S. L. Aviso importante: Se informa previamente, de modo expreso, preciso e inequívoco, del carácter exclusivamente ilustrativo o informativo de la presente publicación, sin que la misma constituya, en ningún caso o circunstancia, asesoramiento jurídico alguno ni de cualquier otra índole, entrañe interpretación normativa alguna con carácter vinculante, ni prejuzgue el criterio de la Agencia Española de Protección de Datos o cualesquiera de las autoridades autonómicas de protección de datos creadas al amparo del artículo 41 de la LOPD, en el ejercicio de su potestad sancionadora, ni de los juzgados y tribunales correspondientes en el ejercicio de la potestad jurisdiccional que legalmente tienen atribuida. En cualquier caso, siempre habrá que atenerse a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD) y en la restante normativa aplicable, debiendo, en todo caso, tenerse en cuenta los aspectos y circunstancias relativos a cada caso concreto. Licencia: Se permite copia y distribución de la totalidad o parte de esta obra sin ánimo de lucro. Toda copia total o parcial deberá citar expresamente los nombres de los autores, de la institución que lo edita (Junta de Andalucía – Consejería de Educación), e incluir la mención “copia literal” en caso de que lo sea.

35(6(17$&,Ð1

El derecho a la protección de datos: un derecho fundamental del alumnado. La Convención sobre los Derechos del Niño, adoptada por la Asamblea General de las Naciones Unidas el 20 de noviembre de 1989 y aprobada por España mediante Instrumento de Ratificación de 30 de noviembre de 1990, consagró en su artículo 3 el principio jurídico fundamental del interés superior de los niños y niñas: “En todas las medidas concernientes a los niños que tomen las instituciones públicas o privadas de bienestar social, los Tribunales, las autoridades administrativas o los órganos legislativos, una consideración primordial a que se atenderá será el interés superior del niño” (art. 3.1). En este sentido, los Estados partes se comprometieron “a asegurar al niño la protección y el cuidado que sean necesarios para su bienestar, teniendo en cuenta los derechos y deberes de sus padres, tutores u otras personas responsables de él ante la Ley y, con ese fin, tomarán todas las medidas legislativas y administrativas adecuadas” (art. 3.2). El citado principio ha confirmado su solidez a través de la Carta de los Derechos Fundamentales de la Unión Europea, cuyo artículo 24, relativo a los “Derechos del menor”, establece que “en todos los actos relativos a los menores llevados a cabo por autoridades públicas o instituciones privadas, el interés superior del menor constituirá una consideración primordial” (art. 24.2). En nuestro país, la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor, de modificación parcial del Código Civil y de la Ley de Enjuiciamiento Civil, también recoge el principio del interés superior del menor como un principio general que debe primar sobre cualquier otro en su aplicación: “En la aplicación de la presente Ley primará el interés superior de los menores sobre cualquier otro interés legítimo que pudiera concurrir” (art. 2, párrafo primero). Asimismo, la citada Ley establece que será principio rector de la actuación de los poderes públicos, entre otros, “la supremacía del interés del menor” (art. 11.2.a)). Finalmente, es importante recordar que de acuerdo con lo señalado en el artículo 4.1 de la Ley Orgánica 1/1996, “los menores tienen derecho al honor, a la intimidad personal y familiar y a la propia imagen”.

7

Conforme a lo establecido en el artículo 18 de la Constitución Española de 1978, enmarcado dentro de la Sección 1ª del Capítulo Segundo del Título I, que lleva por rúbrica “De los derechos fundamentales y de las libertades públicas”, los derechos al honor, a la intimidad personal y familiar y a la propia imagen tienen el rango de fundamentales. Asimismo, el apartado 4 del citado artículo establece que “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. El art. 18.4 CE, circunscrito dentro de un precepto dedicado a la protección de la intimidad entendida en sentido amplio, ha sido el eje vertebrador en torno al cual se ha cimentado la normativa española de protección de datos hasta la aparición de la trascendental Sentencia 292/2000, de 30 de noviembre de 2000, del Tribunal Constitucional, que consagró el derecho a la protección de datos de carácter personal como un derecho fundamental autónomo e independiente del derecho a la intimidad. El contenido del derecho fundamental a la protección de datos consiste, tal y como señala la propia Sentencia 292/2000 en su fundamento jurídico séptimo, “en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso”. De tal modo, este derecho autónomo e informador de nuestro texto constitucional está integrado por los principios y derechos que se contemplan en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, la cual, a su vez, ha sido objeto de desarrollo reglamentario a través del Real Decreto 1720/2007, de 21 de diciembre. Hay que subrayar que el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea también confiere al derecho a la protección de datos de carácter personal el rango de derecho fundamental, estableciendo que “toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan” (art. 8.1). Por otro lado, si bien los datos de las personas menores de edad no tienen la consideración jurídica de “datos especialmente protegidos”

8

conforme a lo establecido en nuestra normativa nacional de protección de datos de carácter personal, parte de la doctrina entiende que forman parte de una categoría sui generis que podría denominarse “datos de personas especialmente vulnerables”, basada en un criterio subjetivo en función de las personas titulares de los datos y las especiales condiciones que les rodean. Fruto de la preocupación en relación a los menores, el referido Real Decreto 1720/2007 dedica su artículo 13 a regular de forma específica las cuestiones relativas al consentimiento para el tratamiento de sus datos. Siguiendo un camino similar, el Grupo de Protección de Datos del artículo 29, órgano europeo consultivo en materia de protección de datos y privacidad, también ha emitido, en fecha 11 de febrero de 2009, un “Dictamen sobre la protección de los datos personales de los niños (Directrices generales y especial referencia a las escuelas)”, con el objetivo de analizar los principios generales que se aplican a la protección de los datos de los niños y niñas, así como explicar su pertinencia en un sector crítico específico como el de los datos escolares. El citado documento debe considerarse en el contexto de la iniciativa general de la Comisión Europea que se describe en la Comunicación “Hacia una Estrategia de la Unión Europea sobre los Derechos de la Infancia”: Al contribuir a este objetivo general, pretende reforzar el derecho fundamental de los niños y las niñas a la protección de datos personales, eligiéndose el ámbito escolar por ser uno de los más importantes de la vida del menor, en el que se desarrolla una parte considerable de sus actividades cotidianas, y por la naturaleza confidencial de gran parte de los datos que se tratan en las instituciones de enseñanza. Asimismo, el referido Dictamen se basa en el convencimiento de que la educación y la responsabilidad son instrumentos cruciales para la protección de los datos de los niños y niñas. En este sentido, el Grupo del artículo 29 ha señalado que “un niño es un ser humano en el más amplio sentido de la palabra. Por este motivo, debe disfrutar de todos los derechos de la persona, incluido el derecho a la protección de los datos personales. Ahora bien, el niño se encuentra en una situación particular que es preciso considerar desde dos perspectivas: estática y dinámica. Desde el punto de vista estático, el niño es una persona que todavía no ha alcanzado la madurez física y psicológica. Desde el punto

9

de vista dinámico, se encuentra en un proceso de desarrollo físico y mental que le convertirá en adulto. Los derechos del niño y su ejercicio -incluido el derecho a la protección de datos- deben expresarse teniendo presentes ambas perspectivas”. De igual manera, entiende que el principio jurídico fundamental que debe regir el tratamiento de los datos de los menores es el interés superior de los mismos, consagrado en la citada Convención de las Naciones Unidas sobre los Derechos del Niño: “La justificación de este principio es que una persona que todavía no ha alcanzado la madurez física y psicológica necesita más protección que otras personas. Su finalidad es mejorar las condiciones del niño y reforzar el derecho de éste a desarrollar su personalidad. Todas las instituciones, públicas o privadas, que toman decisiones sobre los niños, deben respetar este principio”. Asimismo, “hay que reconocer que para alcanzar un nivel adecuado de atención a los niños, los datos personales de éstos deben ser tratados exhaustivamente y por diversas partes. Este tratamiento tendrá lugar principalmente en los sectores del Estado del bienestar: educación, seguridad social, sanidad, etc. Pero esto no es incompatible con la intensificación de una protección adecuada en estos sectores sociales, a pesar de que hay que extremar el cuidado cuando se produce el intercambio de datos sobre los niños”. Por último, es necesario recordar que la propia Ley Orgánica 2/2006, de 3 de mayo, de Educación, en consonancia con la consolidación del derecho fundamental a la protección de datos de carácter personal, dedica una disposición adicional específica a los datos personales del alumnado, a la cual se remite la Ley 17/2007, de 10 de diciembre, de Educación de Andalucía, publicada en el BOJA núm. 252, de 26 de diciembre de 2007. En suma, el derecho a la protección de datos de carácter personal se confirma como un derecho fundamental de todo el alumnado, objeto de creciente atención por parte de nuestros legisladores y de los organismos de la Unión Europea. Con el objetivo de contribuir a su difusión, asentamiento y respeto en los centros de enseñanza de la Junta de Andalucía, se elabora la presente guía.

10

,1',&(

I.

EL DERECHO A LA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL . . . .

II. NORMATIVA VIGENTE SOBRE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL APLICABLE A LOS CENTROS DE ENSEÑANZA 1. Normativa general . . . . . . . . . . . . . . . . . . . . . . . . . 1.1. Plazos de adecuación. . . . . . . . . . . . . . . . . . . . . 1.1.1. LEY ORGÁNICA 15/1999, de 13 de diciembre . . . . . . . . . 1.1.2. REAL DECRETO 1720/2007, de 21 de diciembre . . . . . . . 2. Normativa sectorial . . . . . . . . . . . . . . . . . . . . . . . . 3. Enlaces a la principal normativa sobre protección de datos de carácter personal aplicable a los centros de enseñanza . . . . 3.1. Normativa de la Unión Europea . . . . . . . . . . . . . . . . 3.2. Normativa nacional general. . . . . . . . . . . . . . . . . . 3.3. Normativa nacional y autonómica sectorial . . . . . . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

31 33 38 38 39 42

. . . .

. . . .

. . . .

. . . .

45 45 45 46

. . . . . .

. . . . . .

47 49 54 54 57 58

. . . . . . . . .

. 69 . 72 . 72 . 76 . 80 . 90 . 92 . 104 . 108

III. APLICACIÓN DE LOS PRINCIPIOS DE LA LEY ORGÁNICA DE PROTECCIÓN DE DATOS AL ÁMBITO EDUCATIVO . . . . . . . . . . . . . . . . . . . . 1. Principio de Publicidad . . . . . . . . . . . . . . . . . . . . . . . . 2. Principio del Consentimiento . . . . . . . . . . . . . . . . . . . . . 2.1. Características del consentimiento . . . . . . . . . . . . . . . . 2.2. Datos Especialmente Protegidos . . . . . . . . . . . . . . . . . 2.3. Consentimiento otorgado por personas menores de edad . . . . 2.4. Limitaciones al principio del consentimiento en los centros de enseñanza públicos . . . . . . . . . . . . . . . . . . . . . . 3. Principio de Información . . . . . . . . . . . . . . . . . . . . . . . 3.1. Características del derecho de información . . . . . . . . . . . . 4. Principio de calidad de los datos . . . . . . . . . . . . . . . . . . . 5. Acceso a los datos por cuenta de terceros . . . . . . . . . . . . . . 6. Deber de Secreto. . . . . . . . . . . . . . . . . . . . . . . . . . . . 7. Principio de Seguridad . . . . . . . . . . . . . . . . . . . . . . . . 7.1. Ficheros automatizados . . . . . . . . . . . . . . . . . . . . . 7.2. Ficheros no automatizados . . . . . . . . . . . . . . . . . . . .

13

23

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

IV. RECOMENDACIONES PARA EL CORRECTO TRATAMIENTO DE FICHEROS NO AUTOMATIZADOS QUE CONTENGAN DATOS DE CARÁCTER PERSONAL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Recomendaciones sobre protección de la documentación en soporte papel 2.1. Indicaciones Generales . . . . . . . . . . . . . . . . . . . . . . . . 2.2. Niveles de Seguridad establecidos en el REAL DECRETO 1720/2007 . 2.3. Medidas de seguridad . . . . . . . . . . . . . . . . . . . . . . . . 3. Recomendaciones sobre destrucción de la documentación . . . . . . .

V. RECOMENDACIONES PARA EL CORRECTO TRATAMIENTO DE LAS IMÁGENES DEL ALUMNADO POR LOS CENTROS DE ENSEÑANZA. . . . . . . 1. Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Uso de sistemas de cámaras y videocámaras en el centro de enseñanza 2.1. Exposición general de la cuestión. . . . . . . . . . . . . . . . . . . 2.2. Proporcionalidad de la medida . . . . . . . . . . . . . . . . . . . . 2.3. Aplicación de los principios de protección de datos conforme a lo establecido en la Instrucción 1/2006 . . . . . . . . . . . . . . . . . 2.4. Aplicación de los principios de protección de datos conforme a lo establecido en la Instrucción 1/1996 . . . . . . . . . . . . . . . . . 2.5. Medidas de seguridad . . . . . . . . . . . . . . . . . . . . . . . . 2.6. Observaciones realizadas por el Grupo del artículo 29 sobre protección de datos en su Documento de trabajo 1/08 . . . . . 3. Publicación de imágenes del alumnado en la página web del centro de enseñanza . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4. Enlaces a la normativa específica sobre tratamiento de imágenes . . . 4.1. Normativa de la Unión Europea . . . . . . . . . . . . . . . . . . . . 4.2. Normativa nacional . . . . . . . . . . . . . . . . . . . . . . . . . .

115 117 121 121 122 130 136

145 147 148 148 151 154 156 157 158 160 165 165 165

VI. PREGUNTAS FRECUENTES SOBRE LA APLICACIÓN DE LA NORMATIVA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL EN LOS CENTROS DE ENSEÑANZA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167 1. El derecho a la protección de datos. . . . . . . . . . . . . . . . . . . . 169 1.1. ¿Qué es el derecho a la protección de datos de carácter personal?. . 169

14

Índice

2. Inscripción de ficheros . . . . . . . . . . . . . . . . . . . . . . . . . . 2.1. ¿Quién es el responsable de notificar los ficheros en el Registro General de Protección de Datos en el caso de los centros de enseñanza pública?. . . . . . . . . . . . . . . . . . . . . . . . 3. Ámbito de aplicación de la normativa . . . . . . . . . . . . . . . . . . 3.1. Los ficheros de un centro docente concertado, ¿se rigen por lo establecido para los ficheros de titularidad pública o por el contrario les es de aplicación el régimen de ficheros de titularidad privada? . . 3.2. ¿Sería aplicable la LOPD a los informes psicopedagógicos realizados por los orientadores y orientadoras sobre un procesador de textos? . 3.3. Si en un centro de enseñanza se realizan encuestas anónimas entre el alumnado y sus familiares para realizar un estudio sobre salud y hábitos alimentarios, ¿sería aplicable la normativa sobre protección de datos de carácter personal al supuesto concreto? . . . . . . . . . 3.4. En un centro de enseñanza disponen de cámaras de vigilancia, si bien sólo se utilizan para el visionado en tiempo real de las imágenes captadas, sin proceder a su grabación o conservación. ¿Sería aplicable en este supuesto la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras?. . . . . . . . . . 4. Principio del consentimiento . . . . . . . . . . . . . . . . . . . . . . . 4.1. ¿A partir de qué edad puede una persona consentir sobre el tratamiento de sus datos? . . . . . . . . . . . . . . . . . . . . . . 4.2. ¿Puede un centro de enseñanza publicar en su página web imágenes del alumnado sin su consentimiento previo? . . . . . . . 4.3. ¿Puede el alumno o alumna negarse a que sus padres conozcan sus calificaciones? . . . . . . . . . . . . . . . . . . . . 4.4. ¿Sería aplicable la excepción al consentimiento del art. 11.2.a) LOPD a aquellos casos en que una norma infralegal autorice la cesión de datos de carácter personal? . . . . . . . . . . . . . . . . . . . . . 4.5. ¿Puede un centro de enseñanza de carácter público ceder los datos del alumnado a una editorial especializada en literatura juvenil, que desee lanzar una nueva colección literaria especialmente orientada a los jóvenes, sin el consentimiento de aquéllos? . . . . .

15

169

169 171

171 172

173

175 176 176 178 180

181

183

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

4.6.

4.7.

4.8.

4.9.

4.10.

4.11.

4.12.

Un centro de enseñanza desea organizar una visita guiada para los alumnos y alumnas menores de catorce años a un planetario, solicitándole éste un listado de todos aquellos que vayan a participar en dicha actividad. ¿Qué medidas debería tomar el centro de enseñanza con respecto al cumplimiento de principios de la LOPD? . . . . . . . . . . . . . . . . . . . . . . . ¿Es necesario el consentimiento expreso y por escrito de los alumnos y alumnas o de sus padres, madres o representantes legales para la cesión de determinados datos que consten en su expediente académico para realizar el cambio de un centro de enseñanza a otro? . . . . . . . . . . . . . . . . . . . . . . . . . ¿Puede ceder el centro de enseñanza los datos del alumnado a la Asociación de Madres y Padres de Alumnos (AMPA) sin su consentimiento previo? . . . . . . . . . . . . . . . . . . . . . . . Si los miembros de las Fuerzas y Cuerpos de Seguridad solicitan la cesión de los datos del alumnado, ¿debería el centro facilitar los citados datos? . . . . . . . . . . . . . . . . . . . . . . . . . Si un centro de enseñanza decide ambientar su página web con imágenes difuminadas o distorsionadas del alumnado, de manera que sean totalmente irreconocibles las personas que en ellas aparecen, ¿sería necesario contar con su consentimiento para la publicación de las citadas imágenes? . . . Un periódico local desea hacer un reportaje gráfico en el centro de enseñanza, en el cual se incluyan imágenes del alumnado en diferentes momentos de la actividad escolar. ¿Qué precauciones debería tomar el centro con respecto a la normativa sobre protección de datos de carácter personal? . . . Ante el inminente comienzo de las revisiones médicas y campañas de vacunación del alumnado de los centros de enseñanza, la Consejería de Sanidad solicita a éstos un listado de los mismos para poder llevarlas a cabo. ¿Qué requisitos deberían observar los centros de enseñanza para que dicha cesión de datos fuese conforme a la normativa sobre protección de datos de carácter personal? . . . . . . . . . .

16

. 183

. 184

. 185

. 185

. 187

. 189

. 190

Índice

5. Datos especialmente protegidos . . . . . . . . . . . . . . . . . . . . . . . 5.1. ¿Tiene el dato de opción por la asignatura de Religión la consideración de dato especialmente protegido? . . . . . . . . . . . 5.2. ¿Qué consideración tienen los datos psicológicos incluidos en los informes elaborados por los orientadores y orientadoras?. . . . . 5.3. ¿Tiene el dato de origen racial del alumnado del centro de enseñanza la consideración de dato especialmente protegido? . . . . 5.4. ¿Qué naturaleza tienen los ficheros manejados por el profesorado sobre calificaciones parciales, conductas y actitudes del alumnado, entrevistas con los padres y madres, etc.? . 6. Principio de información . . . . . . . . . . . . . . . . . . . . . . . . . 6.1. En el supuesto de que una empresa de chocolatinas deseara organizar, en colaboración con el centro de enseñanza, un concurso de dibujo para cuya participación los alumnos y alumnas debieran facilitar sus datos y rellenar un cuestionario sobre sus gustos alimenticios, ¿qué factores debería tener en cuenta el centro? . . . . 7. Principio de calidad de los datos . . . . . . . . . . . . . . . . . . . . . 7.1. Un centro de enseñanza de carácter público solicita, para la admisión de los alumnos y alumnas, el dato sobre la ideología política de sus padres y madres. ¿Sería ello correcto conforme a lo establecido en los principios de la LOPD? . . . . . . . . . . . . 8. Acceso a los datos por cuenta de terceros . . . . . . . . . . . . . . . . 8.1. Un centro de enseñanza tiene contratado el servicio de transporte escolar con una empresa de autobuses, la cual además de hacer el transporte diario de los alumnos y alumnas, recoge un listado de los mismos y de las mismas para hacer los carnés de acceso a dicho servicio de transporte. ¿Qué medidas debería tomar el centro para adecuar tal comunicación de datos a la LOPD?. . . . . . 8.2. Un centro de enseñanza tiene en sus dependencias unos contenedores destinados al reciclaje de papel. Cada cierto tiempo dichos contenedores son retirados por una empresa de reciclaje. ¿Qué medidas debería llevar a cabo el centro para cumplir con los principios de LOPD? . . . . . . .

17

191 191 192 194

195 197

197 198

198 199

199

200

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

9. Deber de secreto. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201 9.1. ¿En qué consiste el deber de secreto? . . . . . . . . . . . . . . . . 201 9.2. ¿Puede el Presidente de la Comisión de Baremación de las solicitudes de reserva para la matriculación en una escuela infantil municipal hacer públicos los datos procedentes de los certificados del IRPF presentados por el padre y la madre de una alumna admitida en la misma? . . . . . . . . . . . . . . . . 201 10. Medidas de Seguridad . . . . . . . . . . . . . . . . . . . . . . . . . . 202 10.1. ¿Puede el profesorado crear nuevos ficheros ofimáticos que contengan datos de carácter personal, en los PC’s del centro de enseñanza, sin el conocimiento de la Secretaría General Técnica de la Consejería de Educación? . . . . . . . . . . . 202 10.2. En el supuesto de que el personal docente del centro se lleve los exámenes realizados por el alumnado para corregirlos en casa, ¿qué precauciones habría que tener en cuenta con respecto a la normativa de protección de datos de carácter personal?.. 203 10.3. ¿Qué ocurriría si se dejasen abandonados en plena calle, junto a un contenedor de reciclaje de papel saturado, informes psicopedagógicos sobre antiguos alumnos y alumnas elaborados por los orientadores y orientadoras, de manera que alguien externo al centro de enseñanza tuviese acceso a dicha información? . . . . . 205 10.4. ¿Es correcto dejar en los pasillos del centro y, por tanto, al alcance de cualquier persona que por allí transite, los contenedores de reciclaje que puedan contener exámenes realizados por el alumnado, sin haber sido destruidos previamente? . . . . . . . . . . 207 10.5. ¿Qué precauciones deben tomarse con respecto a la normativa de protección de datos de carácter personal en el caso de traslado de documentación que contenga datos catalogados de Nivel alto (por ejemplo, informes psicopedagógicos)? . . . . . . . 207 10.6. ¿Quién es el responsable de informar al profesorado y Personal de Administración y Servicios sobre sus obligaciones en materia de protección de datos de carácter personal?. . . . . . . 208 10.7. ¿Qué ocurriría en el supuesto de que un o una docente tuviese acceso a un documento impreso con información sobre el personal del centro de enseñanza restringida al equipo directivo y personal de Administración? . . . . . . . . . . . . . . . . . . . . . 208

18

Índice

ANEXO I: MODELOS ORIENTATIVOS DE CLÁUSULAS LEGALES A INCORPORAR EN LOS IMPRESOS Y FORMULARIOS DE USO FRECUENTE EN LOS CENTROS DE ENSEÑANZA PARA LA RECOGIDA DE DATOS DE CARÁCTER PERSONAL . . . . . . . . . . . . 211 1. Modelos de cláusulas legales a incorporar en los Formularios de Solicitud de Plaza . . . . . . . . . . . . . . . . . . . . . . . . . . 1.1. Alumnado menor de 14 años . . . . . . . . . . . . . . . . . . 1.2. Alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . 1.3. Padres, madres y representantes legales . . . . . . . . . . . . 1.4. Modelo simplificado alumnado menor de 14 años y familiares o representantes . . . . . . . . . . . . . . . . . . 1.5. Modelo simplificado alumnado mayor de 14 años . . . . . . . 2. Modelos de cláusulas legales a incorporar en los Formularios de Matriculación . . . . . . . . . . . . . . . . . . . . . . . . . 2.1. Alumnado menor de 14 años . . . . . . . . . . . . . . . . 2.2. Alumnado mayor de 14 años . . . . . . . . . . . . . . . . 2.3. Padres, madres y representantes legales . . . . . . . . . . 2.4. Modelo simplificado alumnado menor de 14 años y familiares o representantes . . . . . . . . . . . . . . . . 2.5. Modelo simplificado alumnado mayor de 14 años . . . . .

. . . .

. . . .

. . . .

. . . .

. . . .

215 215 216 217

. . . 218 . . . 218

. . . .

. . . .

. . . .

219 219 220 221

. . . . . 222 . . . . . 222

3. Modelos de cláusulas legales a incorporar en los Formularios de Solicitud de Beca . . . . . . . . . . . . . . . . . . . . . . . . . . 3.1. Alumnado menor de 14 años . . . . . . . . . . . . . . . . . . 3.2. Alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . 3.3. Padres, madres y representantes legales . . . . . . . . . . . . 3.4. Modelo simplificado alumnado menor de 14 años y familiares o representantes . . . . . . . . . . . . . . . . . . 3.5. Modelo simplificado alumnado mayor de 14 años . . . . . . .

. . . .

. . . .

. . . .

223 223 224 225

. . . 226 . . . 226

4. Modelos de cláusulas legales a incorporar en las Fichas de jefatura de estudios. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227 4.1. Alumnado menor de 14 años . . . . . . . . . . . . . . . . . . . . . 227 4.2. Alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . . . . 228

19

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

4.3. Padres, madres y representantes legales . . . . . . . . . . . . . . . 229 4.4. Modelo simplificado alumnado menor de 14 años y familiares o representantes . . . . . . . . . . . . . . . . . . . . . 230 4.5 Modelo simplificado alumnado mayor de 14 años . . . . . . . . . . 230 5. Modelos de cláusulas legales a incorporar en los Formularios de Inscripción en las Actividades Extraescolares . . . . . . . . . . . . 5.1. Alumnado menor de 14 años . . . . . . . . . . . . . . . . . . . 5.2. Alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . . 5.3. Modelo simplificado alumnado menor de 14 años y familiares o representantes . . . . . . . . . . . . . . . . . . . 5.4. Modelo simplificado alumnado mayor de 14 años . . . . . . . . 6. Modelos de cláusulas legales a incorporar en los Formularios de Solicitud de Plaza en el Comedor Escolar. . . . . . . . . . . . . . . 6.1. Alumnado menor de 14 años . . . . . . . . . . . . . . . . . . . 6.2. Alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . . 6.3. Modelo simplificado alumnado menor de 14 años y familiares o representantes . . . . . . . . . . . . . . . . . . . 6.4. Modelo simplificado alumnado mayor de 14 años . . . . . . . . 7. Modelos de cláusulas legales a incorporar en los Formularios de Solicitud del servicio de transporte escolar . . . . . . . . . . . . . 7.1. Alumnado menor de 14 años . . . . . . . . . . . . . . . . . . . 7.2. Alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . . 7.3. Modelo simplificado alumnado menor de 14 años y familiares o representantes . . . . . . . . . . . . . . . . . . . 7.4. Modelo simplificado alumnado mayor de 14 años . . . . . . . . 8. Modelos para prestar el Consentimiento para la publicación de datos de carácter personal del alumnado en la página web del centro de enseñanza. . . . . . . . . . . . . . . . . . . . . . . . 8.1. Modelo para prestar el Consentimiento para el alumnado menor de 14 años . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8.2. Modelo para prestar el Consentimiento para el alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . . . . . . . . . . .

20

. . 231 . . 231 . . 232 . . 233 . . 233 . . 234 . . 234 . . 235 . . 236 . . 236 . . 237 . . 237 . . 238 . . 239 . . 239

. . 240 . . 240 . . 241

Índice

ANEXO II: MODELOS ORIENTATIVOS DE CLÁUSULAS LEGALES PARA EL TRATAMIENTO DE IMÁGENES DEL ALUMNADO . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Modelos de cláusulas legales para el tratamiento de imágenes del alumnado a través de sistemas de cámaras o videocámaras . . . . . . 1.1. Modelo de distintivo informativo a que se refiere el apartado 1 del ANEXO de la INSTRUCCIÓN 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras . . . . . . . . . . . . . . . 1.2. Modelo de Cláusula Informativa a que se refiere el art. 3, apartado b) de la INSTRUCCIÓN 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras . . . . . . . . . . . . . . . . . . . . . . . 1.3. Modelo de aviso informativo en cumplimiento de lo establecido en la Norma Tercera de la INSTRUCCIÓN 1/1996, de 1 de marzo, de la Agencia Española de Protección de Datos. . . . . . . . . . . . 2. Modelos para prestar el Consentimiento para la publicación de imágenes del alumnado en la página web del centro de enseñanza 2.1. Modelo para prestar el Consentimiento para el alumnado menor de 14 años. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.2. Modelo para prestar el Consentimiento para el alumnado mayor de 14 años . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

ANEXO III: CONSIDERACIONES SOBRE PROYECTOS DE MOVILIDAD PARA EL PROFESORADO EN RELACIÓN CON LA NORMATIVA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Análisis de la incidencia de la normativa de Protección de Datos de Carácter Personal sobre proyectos de movilidad. . . . . . . . . . . . . 3. Modelo de solicitud para la obtención de la autorización expresa para trabajar con los dispositivos móviles fuera de los locales del centro educativo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

21

243 245

245

248

249 250 250 251

253 255 255

264

&$3Ì78/2, (/'(5(&+2$/$3527(&&,Ð1'('$726 '(&$5É&7(53(5621$/

El derecho a la Protección de Datos de carácter personal

En la actualidad, nadie puede permanecer ajeno a las ventajas que han supuesto para todos los sectores sociales y económicos el desarrollo de la informática y la expansión de las telecomunicaciones. La utilización de las nuevas herramientas informáticas en combinación con las redes de telecomunicaciones avanzadas en el ámbito de la Administración Pública está contribuyendo a alcanzar unos mayores grados de eficacia y eficiencia a la hora de gestionar las relaciones y los servicios que éstas prestan a la ciudadanía. Sin embargo, el uso de la informática y las telecomunicaciones en todos los ámbitos también tiene una vertiente negativa, en el sentido de que su utilización sin las debidas garantías puede afectar a los derechos y libertades individuales de la ciudadanía, en especial en lo referente a su intimidad y a la protección de sus datos. Consciente de los riesgos derivados de un posible uso inadecuado de estas nuevas tecnologías en detrimento de los citados derechos, la Unión Europea viene realizando, desde hace varios años, un importante esfuerzo de armonización de las legislaciones nacionales de los Estados miembros con el objetivo de que toda la ciudadanía europea cuente con una protección equivalente de alto nivel de sus datos personales en el territorio de la Unión. Con este propósito, tuvo lugar la aprobación de la DIRECTIVA 95/46/ CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y, posteriormente, de la DIRECTIVA 97/66/CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO, de 15 de diciembre de 1997, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones. En idéntica línea a la emprendida por las dos anteriores, podemos encontrar la DIRECTIVA 2002/58/CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, que deroga a la citada Directiva 97/66/CE y

25

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

da un paso más en lo relativo a la protección de los datos personales en el ámbito de las telecomunicaciones. El Tratado por el que se establece una Constitución para Europa tampoco quiso permanecer ajeno a esta cuestión, refiriéndose por dos veces al derecho a la protección de datos de carácter personal: en primer lugar, como un principio que debe inspirar la vida democrática de la Unión (artículo I-51) y, en segundo lugar, elevándolo a la categoría de derecho fundamental, en su artículo II-68 (enmarcado en la Carta de los Derechos Fundamentales de la Unión, que constituye la Parte II del Tratado). Asimismo, el 28 de enero de 2007 fue el día elegido por el Consejo de Europa para celebrar, por primera vez, el Día Europeo de Protección de Datos. Ésta era una fecha especialmente significativa ya que coincidía con la aprobación en el año 1981 del CONVENIO 108 DEL CONSEJO DE EUROPA, germen del derecho a la protección de datos de carácter personal en la Unión Europea y en cuyos principios se inspira la citada Directiva 95/46/CE. Uno de los principales objetivos del primer Día Europeo de Protección de Datos fue concienciar a la ciudadanía de la Unión sobre sus derechos y obligaciones en lo que a la protección de datos de carácter personal se refiere. En España, el derecho a la protección de datos de carácter personal tiene, desde la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, la consideración de derecho fundamental autónomo, siendo, por ende, merecedor de la más elevada protección por parte de nuestro ordenamiento jurídico. Este derecho informador de nuestro texto constitucional se concreta en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de estos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a su posesión o uso. El texto normativo de referencia en nuestro país en materia de protección de datos personales es la LEY ORGÁNICA 15/1999, de 13 de diciembre, de

26

El derecho a la Protección de Datos de carácter personal

Protección de Datos de Carácter Personal, conocida bajo el acrónimo LOPD, de obligado cumplimiento para toda empresa o Administración Pública que maneje información concerniente a personas físicas identificadas o identificables como consecuencia de las actividades desarrolladas dentro de su objeto social o del ejercicio de sus competencias de carácter público, respectivamente. Llegar a la actual LOPD ha sido un camino largo y no exento de dificultades, pero que muestra una trayectoria ininterrumpida hacia el asentamiento de una cultura de la protección de datos en todos los sectores de nuestra sociedad y en cualquier ámbito, público y privado. La primera norma reguladora del derecho a la protección de datos en España fue la LEY ORGÁNICA 5/1992, de 29 de octubre, reguladora del tratamiento automatizado de datos de carácter personal (en adelante, LORTAD), dictada, con cierto retraso, como consecuencia de la ratificación por España del Convenio 108 del Consejo de Europa. Posteriormente, fruto de la aparición de la Directiva 95/46/CE, se optó por derogar aquélla en lugar de proceder a su modificación, dando paso a la vigente Ley Orgánica 15/1999. Ambas normas (LORTAD y LOPD) tuvieron sus avatares, siendo algunos de sus artículos objeto de sendos recursos de inconstitucionalidad, que dieron lugar a las Sentencias 290/2000 y 292/2000. La segunda de estas sentencias fue la que, como ya hemos dicho, consagró definitivamente en nuestro país el derecho a la protección de datos de carácter personal como un derecho fundamental independiente. Además, en nuestro país existe un organismo encargado de velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, la Agencia Española de Protección de Datos (en adelante, AEPD), dotada de potestades inspectora y sancionadora. La AEPD es un ente de Derecho Público, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las Administraciones Públicas en el ejercicio de sus funciones. Se rige por lo dispuesto en el Título IV de la LOPD y en Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la AEPD.

27

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

Asimismo, la Ley Orgánica 15/1999 establece en su art. 41 que las funciones atribuidas a la Agencia Española de Protección de Datos serán ejercidas, cuando afecten a ficheros de datos de carácter personal creados o gestionados por las Comunidades Autónomas y por la Administración Local de su ámbito territorial, por los órganos correspondientes de cada Comunidad Autónoma (con la excepción de determinadas funciones concretas que se reservan en exclusiva a la AEPD), que tendrán, al igual que aquélla, la consideración de autoridades de control, a las que se garantizarán plena independencia y objetividad en el ejercicio de su cometido. De tal manera, en la actualidad existen tres agencias autonómicas de protección de datos creadas al amparo del art. 41 LOPD: La Agencia de Protección de Datos de la Comunidad de Madrid (APDCM), regulada en el Capítulo IV de la Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid, la Agencia Catalana de Protección de Datos (APDCAT), creada por el art. 1 de la Ley 5/2002, de 19 de abril, de la Agencia Catalana de Protección de Datos y La Agencia Vasca de Protección de Datos (AVPD), creada por el art. 10 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos.




28

El derecho a la Protección de Datos de carácter personal

En el ámbito concreto de nuestra Comunidad Autónoma, la Ley Orgánica 2/2007, de reforma del Estatuto de Autonomía para Andalucía, contempla en su Título II, bajo la rúbrica general de “Competencias de la Comunidad Autónoma”, que “Corresponde a la Comunidad Autónoma de Andalucía la competencia ejecutiva sobre protección de datos de carácter personal, gestionados por las instituciones autonómicas de Andalucía, Administración autonómica, Administraciones locales, y otras entidades de derecho público y privado dependientes de cualquiera de ellas, así como por las universidades del sistema universitario andaluz” (art. 82). El citado artículo abre la puerta a la creación de una Agencia Andaluza de Protección de Datos. La citada Agencia asumiría, entre otras, la función de velar por el cumplimiento de la legislación sobre protección de datos en los centros de enseñanza de la Junta de Andalucía. Asimismo, el art. 32 del nuevo Estatuto, que lleva por título “Protección de datos”, establece que “se garantiza el derecho de todas las personas al acceso, corrección y cancelación de sus datos personales en poder de las Administraciones públicas andaluzas”.

29

&$3Ì78/2,, 1250$7,9$9,*(17(62%5(3527(&&,Ð1'('$726 '(&$5É&7(53(5621$/ $3/,&$%/($/26&(17526'((16(f$1=$

Normativa vigente sobre Protección de Datos de carácter personal

1. Normativa general La informatización de los centros de enseñanza a través de herramientas para la gestión de los datos del alumnado, creación de páginas web de los centros donde se publican imágenes de los alumnos y alumnas, e incluso instalación de cámaras de videovigilancia, se une a otra serie de cuestiones que tradicionalmente podían afectar a la intimidad del alumnado, como la confidencialidad de los expedientes académicos o de los informes psicopedagógicos elaborados por los orientadores y orientadoras. La CONSTITUCIÓN ESPAÑOLA de 1978 garantiza “el derecho al honor, a la intimidad personal y familiar y a la propia imagen” (art. 18.1 CE). Asimismo, establece que “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos” (art. 18.4 CE). El citado art. 18.4 ha sido el pilar fundamental de nuestro sistema de protección de datos hasta la aparición de la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que consagró el derecho a la protección de datos de carácter personal como un derecho fundamental específico y distinto del derecho a la intimidad. Partiendo de estas premisas, los centros de enseñanza deben ser plenamente conscientes de que el alumnado es titular de dos derechos fundamentales que hay que respetar: el derecho a su intimidad, recogido en el art. 18 de la Constitución Española, y el derecho a la protección de sus datos de carácter personal, consagrado en la Sentencia del Tribunal Constitucional 292/2000. Ambos derechos están regulados por la LEY ORGÁNICA 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen y la LEY ORGÁNICA 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, respectivamente. En cuanto al objeto y ámbito de aplicación de la LOPD, señalar que la misma tiene por objeto “garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos

33

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar” (art. 1 LOPD), siendo de aplicación “a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado” (art. 2 LOPD). Asimismo, el artículo 3.b) de la Ley Orgánica 15/1999 entiende por fichero “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Como consecuencia de esta definición, podemos afirmar que la LOPD es aplicable tanto a los ficheros automatizados como no automatizados que contengan datos de carácter personal. En este sentido, debemos recordar que la Ley Orgánica 15/1999 es transposición de la DIRECTIVA 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, la cual establece lo siguiente con respecto a su ámbito de aplicación: “Las disposiciones de la presente Directiva se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero” (art. 3.1). Ahora bien, la normativa española sobre Protección de Datos de Carácter Personal se ha caracterizado durante un gran número de años por un cierto desfase. De tal manera, la normativa de desarrollo de la antigua LEY ORGÁNICA 5/1992, de 29 de octubre, reguladora del tratamiento automatizado de datos de carácter personal (LORTAD) fue aprobada en 1999 (siete años después de la publicación de la misma), que precisamente fue el mismo año en que apareció la Ley Orgánica 15/1999, que derogaba a la anterior. Debido a ello, se optó por mantener vigente la normativa de desarrollo de la derogada LORTAD, el REAL DECRETO 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, dándose la extraña circunstancia de que mientras la Ley Orgánica 15/1999 tenía por objeto regular tanto los tratamientos automatizados como no automatizados de datos de carácter personal, tan sólo existía desarrollo reglamentario de

34

Normativa vigente sobre Protección de Datos de carácter personal

medidas de seguridad para los ficheros automatizados de datos, quedando un vacío legal para la protección de los ficheros manuales o no automatizados en soporte papel que contuviesen datos de carácter personal. Tras más de ocho años en la situación descrita, por fin se aprobó el REAL DECRETO 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, con entrada en vigor el 19 de abril de 2008, que deroga al anterior Real Decreto 994/1999 y que contempla un catálogo definitivo de medidas de seguridad aplicables tanto a los ficheros y tratamientos automatizados como no automatizados de datos de carácter personal. Así lo viene a explicar el propio Preámbulo del Real Decreto 1720/2007: “La actual Ley Orgánica 15/1999, de 13 de diciembre de Protección de datos de carácter personal adaptó nuestro ordenamiento a lo dispuesto por la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, derogando a su vez la hasta entonces vigente Ley Orgánica 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de datos de carácter personal. La nueva ley, que ha nacido con una amplia vocación de generalidad, prevé en su artículo 1 que “tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal”. Comprende por tanto el tratamiento automatizado y el no automatizado de los datos de carácter personal. A fin de garantizar la necesaria seguridad jurídica en un ámbito tan sensible para los derechos fundamentales como el de la protección de datos, el legislador declaró subsistentes las normas reglamentarias existentes y, en especial, los reales decretos 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos,

35

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre de Regulación del tratamiento automatizado de los datos de carácter personal y 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, a la vez que habilitó al Gobierno para la aprobación o modificación de las disposiciones reglamentarias necesarias para la aplicación y desarrollo de la Ley Orgánica 15/1999” (Preámbulo del Real Decreto 1720/2007, apartado I). De tal manera, “Este Reglamento comparte con la Ley Orgánica la finalidad de hacer frente a los riesgos que para los derechos de la personalidad pueden suponer el acopio y tratamiento de datos personales. Por ello, ha de destacarse que esta norma reglamentaria nace con la vocación de no reiterar los contenidos de la norma superior y de desarrollar, no sólo los mandatos contenidos en la Ley Orgánica de acuerdo con los principios que emanan de la Directiva, sino también aquellos que en estos años de vigencia de la Ley se ha demostrado que precisan de un mayor desarrollo normativo. Por tanto, se aprueba este Reglamento partiendo de la necesidad de dotar de coherencia a la regulación reglamentaria en todo lo relacionado con la transposición de la Directiva y de desarrollar los aspectos novedosos de la Ley Orgánica 15/1999, junto con aquellos en los que la experiencia ha aconsejado un cierto de grado de precisión que dote de seguridad jurídica al sistema. De tal manera, el reglamento viene a abarcar el ámbito tutelado anteriormente por los reales decretos 1332/1994, de 20 de junio, y 994/1999, de 11 de junio, teniendo en cuenta la necesidad de fijar criterios aplicables a los ficheros y tratamientos de datos personales no automatizados” (Preámbulo del Real Decreto 1720/2007, apartado II).

Por tanto, el Real Decreto 1720/2007 comparte ámbito objetivo de aplicación con la Ley Orgánica 15/1999: “El presente reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que

36

Normativa vigente sobre Protección de Datos de carácter personal

los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado” (art. 2.1 Real Decreto 1720/2007). Finalmente, el Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos, establece en su art. 5.c) que la Agencia de Protección de Datos colaborará con los órganos competentes en lo que respecta al desarrollo normativo y aplicación de las normas que incidan en materia propia de la Ley Orgánica 5/1992 (entiéndase esta mención hecha ahora a la Ley Orgánica 15/1999, que derogó a la antigua LORTAD), y a tal efecto dictará instrucciones y recomendaciones precisas para adecuar los tratamientos automatizados (entendamos ahora también no automatizados) a los principios de la Ley Orgánica. En este sentido, la Agencia Española de Protección de Datos ha dictado, desde 1995 a 2006, ocho instrucciones distintas sobre diversos aspectos concretos relacionados con la aplicación práctica de la LOPD, las cuales están disponibles en el Sitio Web de la propia AEPD.

37

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

1.1. Plazos de adecuación 1.1.1. LEY ORGÁNICA 15/1999, de 13 de diciembre Sobre los plazos establecidos para la adecuación a la LOPD, debemos señalar que la Disposición Final Tercera de la Ley Orgánica 15/1999 establece su entrada en vigor en el plazo de un mes, contado desde su publicación en el Boletín Oficial del Estado. Dicha publicación tuvo lugar en el B.O.E. número 298, de 14 de diciembre de 1999. Ello significa que todos aquellos ficheros –automatizados o no automatizados– creados con posterioridad al 14 de enero de 2000 deben de manera inexcusable cumplir con lo establecido en la Ley Orgánica 15/1999.  Con respecto a los ficheros preexistentes a la entrada en vigor de la Ley, la Disposición Adicional Primera de la Ley Orgánica 15/1999 establece lo siguiente: -

Ficheros y tratamientos automatizados: los ficheros y tratamientos automatizados inscritos o no en el Registro General de Protección de Datos deberán adecuarse a la presente Ley Orgánica dentro del plazo de tres años, a contar desde su entrada en vigor. Por ende, para el caso de los ficheros y tratamientos automatizados, todos los plazos legales vencieron el pasado 14 de enero de 2003.

-

Ficheros y tratamientos no automatizados: su adecuación a la Ley Orgánica 15/1999 deberá cumplimentarse en el plazo de doce años a contar desde el 24 de octubre de 1995, sin perjuicio del ejercicio de los derechos de acceso, rectificación y cancelación por parte de los afectados. Dicho plazo expiró el 24 de octubre de 2007.

En suma, todos los plazos legales de adecuación a la LOPD han vencido, sin excepción.

38

Normativa vigente sobre Protección de Datos de carácter personal

1.1.2. REAL DECRETO 1720/2007, de 21 de diciembre En cuanto a los plazos de implantación de las medidas de seguridad recogidas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señalar que la disposición final segunda del citado Real Decreto establece su entrada en vigor a los tres meses de su íntegra publicación en el Boletín Oficial del Estado. Dicha publicación tuvo lugar en el B.O.E. número 17, de 19 de enero de 2008, entrando en vigor el 19 de abril del mismo año. De conformidad con lo establecido en la regla tercera de la Disposición transitoria segunda del Real Decreto 1720/2007, los ficheros de datos de carácter personal, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del Real Decreto (19 de abril de 2008) deberán tener implantadas, desde el momento de su creación, la totalidad de las medidas de seguridad recogidas en el mismo. Con respecto a los ficheros preexistentes a la entrada en vigor del Real Decreto 1720/2007 (19 de abril de 2008), ha de diferenciarse entre ficheros automatizados y no automatizados. En primer lugar, respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del Real Decreto 1720/2007: a) En el plazo de un año desde su entrada en vigor (el plazo finalizó el 19 de abril de 2009), deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: 1.º Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. 2.º Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.

39

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

3.º Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. b) En el plazo de un año desde su entrada en vigor (el plazo finalizó el 19 de abril de 2009) deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha (el plazo finalizó el 19 de octubre de 2009), las de nivel alto exigibles a los siguientes ficheros: 1.º Aquéllos que contengan datos derivados de actos de violencia de género. 2.º Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. c) En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del Real Decreto 1720/2007 (el plazo finalizó el 19 de abril de 2009). En segundo lugar, respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del Real Decreto 1720/2007:

40

Normativa vigente sobre Protección de Datos de carácter personal

a) Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor (el plazo finalizó el 19 de abril de 2009). b) Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor (el plazo finalizó el 19 de octubre de 2009). c) Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor (el plazo finalizó el 19 de abril de 2010).

41

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

2. Normativa sectorial La LEY 14/1970, de 4 de agosto, General de Educación y Financiamiento de la Reforma Educativa (en adelante, LGE), aprobada hace más de 35 años (8 años antes de la publicación del art. 18.4 referente al derecho a la intimidad en relación con el uso de la informática en la Constitución Española de 1978, 22 años antes de la aparición de la ya derogada LORTAD, 29 años antes de la aprobación de nuestra vigente LOPD y 32 años antes de la publicación de la Sentencia del Tribunal Constitucional 292/2000 que consagró el derecho a la protección de datos como un derecho fundamental independiente), ya hacía referencia al carácter reservado de los datos del alumnado. En concreto su art. 11.3, establecía que “De cada alumno habrá constancia escrita, con carácter reservado, de cuantos datos y observaciones sobre su nivel mental, aptitudes y aficiones, rasgos de personalidad, ambiente, familia, condiciones físicas y otras circunstancias que consideren pertinentes para su educación y orientación. Para la redacción de la misma se requerirá la colaboración de los padres. Un extracto actualizado deberá incluirse en el expediente de cada alumno al pasar de un nivel educativo a otro”. No obstante lo anterior, las sucesivas leyes reguladoras del Sistema Educativo español dejaron totalmente aparcada esta cuestión. De tal manera, tanto la LEY ORGÁNICA 8/1985, de 3 de julio, Reguladora del Derecho a la Educación (en adelante, LODE), como la LEY ORGÁNICA 1/1990, de 3 de octubre, de Ordenación General del Sistema Educativo (en adelante, LOGSE), no hicieron ninguna mención específica al derecho a la intimidad del alumnado. Por su parte, la LEY ORGÁNICA 10/2002, de 23 de diciembre, de Calidad de la Educación (en adelante, LOCE), mencionaba el respeto a la intimidad únicamente como un deber básico del alumnado hacia los miembros de la comunidad educativa, pero no como un derecho del propio alumnado. Asimismo, ninguna de las leyes citadas llegó a derogar el art. 11.3 de la LGE, que, pese a tener una redacción anticuada y obsoleta, continuaba vigente frente a la total ausencia de regulación de la cuestión de los datos personales del alumnado en las leyes que le sucedieron. La inicial preocupación por los datos de carácter personal del alumnado plasmada en la Ley 14/1970 no se ha vuelto a recuperar hasta la aparición

42

Normativa vigente sobre Protección de Datos de carácter personal

de la LEY ORGÁNICA 2/2006, de 3 de mayo, de Educación (en adelante, LOE), que ha derogado definitivamente el citado art. 11.3, dedicando una Disposición adicional específica a los datos personales del alumnado, en consonancia con la consolidación del derecho fundamental a la protección de datos de carácter personal: “Disposición adicional vigesimotercera. Datos personales de los alumnos. 1. Los centros docentes podrán recabar los datos personales de su alumnado que sean necesarios para el ejercicio de su función educativa. Dichos datos podrán hacer referencia al origen y ambiente familiar y social, a características o condiciones personales, al desarrollo y resultados de su escolarización, así como a aquellas otras circunstancias cuyo conocimiento sea necesario para la educación y orientación de los alumnos. 2. Los padres o tutores y los propios alumnos deberán colaborar en la obtención de la información a la que hace referencia este artículo. La incorporación de un alumno a un centro docente supondrá el consentimiento para el tratamiento de sus datos y, en su caso, la cesión de datos procedentes del centro en el que hubiera estado escolarizado con anterioridad, en los términos establecidos en la legislación sobre protección de datos. En todo caso, la información a la que se refiere este apartado será la estrictamente necesaria para la función docente y orientadora, no pudiendo tratarse con fines diferentes del educativo sin consentimiento expreso. 3. En el tratamiento de los datos del alumnado se aplicarán normas técnicas y organizativas que garanticen su seguridad y confidencialidad. El profesorado y el resto del personal que, en el ejercicio de sus funciones, acceda a datos personales y familiares o que afecten al honor e intimidad de los menores o sus familias quedará sujeto al deber de sigilo. 4. La cesión de los datos, incluidos los de carácter reservado, necesarios para el sistema educativo, se realizará preferentemente por vía telemática y estará sujeta a la legislación en materia de protección de datos de carácter personal, y las condiciones mínimas serán acordadas por el Gobierno con las Comunidades Autónomas en el seno de la Conferencia Sectorial de Educación.” En el ámbito de nuestra Comunidad Autónoma, la LEY 17/2007, de 10 de diciembre, de Educación de Andalucía, publicada en el BOJA núm. 252,

43

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

de 26 de diciembre de 2007, contiene una disposición específica sobre los datos personales del alumnado, si bien ésta se remite directamente a lo establecido en la Disposición adicional vigesimotercera de la LOE: “Disposición adicional segunda. Datos personales del alumnado. En el tratamiento de los datos personales del alumnado por la Administración educativa y los centros docentes, se estará a lo dispuesto en la disposición adicional vigesimotercera de la Ley Orgánica 2/2006, de 3 de mayo.”

44

Normativa vigente sobre Protección de Datos de carácter personal

3. Enlaces a la principal normativa sobre protección de datos de carácter personal aplicable a los centros de enseñanza 3.1. Normativa de la Unión Europea -

DIRECTIVA 95/46/CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Disponible en el apartado de Protección de Datos del Sitio Web de la Comisión Europea: http://europa.eu/legislation_summaries/information_society/ l14012_es.htm

3.2. Normativa nacional general -

LEY ORGÁNICA 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. http://www.boe.es/aeboe/consultas/bases_datos/doc.php?id=BOEA-1999-23750

-

REAL DECRETO 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. h t t p : / / w w w. b o e . e s / a e b o e / c o n s u l t a s / b a s e s _ d a t o s / d o c . php?id=BOE-A-2008-979

-

INSTRUCCIONES dictadas por la Agencia Española de Protección de Datos en cumplimiento de lo establecido en el art. 5.c) del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos. Disponibles en el Canal de Documentación del Sitio Web de la Agencia Española de Protección de Datos, apartado de Legislación Estatal: http://www.agpd.es/portalweb/canaldocumentacion/legislacion/ estatal/index-ides-idphp.php

45

Guía de Protección de Datos de carácter personal para los Centros de Enseñanza

3.3. Normativa nacional y autonómica sectorial -

Disposición adicional vigesimotercera de la LEY ORGÁNICA 2/2006, de 3 de mayo, de Educación. h t t p : / / w w w. b o e . e s / a e b o e / c o n s u l t a s / b a s e s _ d a t o s / d o c . php?id=BOE-A-2006-7899

-

Disposición adicional segunda de la LEY 17/2007, de 10 de diciembre, de Educación de Andalucía. http://juntadeandalucia.es/boja/boletines/2007/252/d/1.html

- Orden de 26 de abril de 2010, por la que se regulan los ficheros automatizados con datos de carácter personal gestionados por la Consejería de Educación de la Junta de Andalucía en el ámbito de la videovigilancia en centros educativos. http://juntadeandalucia.es/boja/boletines/2010/91/d/20.html

46

&$3Ì78/2,,, $3/,&$&,Ð1'(/2635,1&,3,26'(/$/(